Kurz gesagt: Nach Art. 15 DSGVO kann jede Person vom Verantwortlichen erfahren, ob Daten über sie verarbeitet werden, welche das sind, wozu, an wen sie gehen und wie lange sie gespeichert bleiben. Sie hat Anspruch auf eine kostenlose erste Kopie. Die Rechte anderer, etwa weiterer Personen auf einem Video, dürfen dabei nicht beeinträchtigt werden.
Das Auskunftsrecht ist das Recht, mit dem die meisten anderen Rechte anfangen. Wer nicht weiß, was über ihn gespeichert ist, kann auch keine Berichtigung oder Löschung verlangen. Im Sicherheitsdienst kommen Auskunftsanträge häufiger vor, als man denkt: vom Ladendieb, der wissen will, was über ihn in der Hausverbotsliste steht, vom Mitarbeiter einer Fremdfirma, der seine Zutrittsprotokolle sehen möchte, oder vom Gast, der nach einer Auseinandersetzung das Video verlangt.
Was im Gesetz steht
Art. 15 Abs. 1 DSGVO gibt der betroffenen Person zuerst das Recht auf eine Bestätigung: Werden überhaupt Daten über mich verarbeitet? Ist das der Fall, kann sie Auskunft über diese Daten verlangen und zusätzlich über:
- die Zwecke der Verarbeitung
- die Kategorien der Daten, etwa Name, Bilddaten, Zeitstempel
- die Empfänger, zum Beispiel Auftraggeber, Polizei oder Versicherung
- die geplante Speicherdauer oder die Kriterien dafür
- die Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch
- das Beschwerderecht bei der Aufsichtsbehörde
- die Herkunft der Daten, wenn sie nicht bei der Person selbst erhoben wurden
- eine automatisierte Entscheidungsfindung, falls es eine gibt
Nach Art. 15 Abs. 3 DSGVO bekommt die Person außerdem eine Kopie der Daten. Die erste Kopie ist kostenlos, für weitere darf ein angemessenes Entgelt verlangt werden. Stellt sie den Antrag per E-Mail, bekommt sie die Auskunft in einem gängigen elektronischen Format. Art. 15 Abs. 4 DSGVO setzt die Grenze: Die Kopie darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.
Was der Antragsteller nicht muss
Er muss keinen Grund nennen. Warum jemand Auskunft will, spielt grundsätzlich keine Rolle. Er muss auch kein Formular benutzen. Ein formloses Schreiben, eine E-Mail oder eine mündliche Bitte am Empfang genügt. Ein Antrag kann also auch bei dir landen, ohne dass das Wort Auskunft fällt, zum Beispiel mit dem Satz: Ich will wissen, was ihr über mich gespeichert habt.
Identität prüfen
Die Auskunft darf nur an die berechtigte Person gehen. Bei begründeten Zweifeln darf der Verantwortliche zusätzliche Angaben verlangen (Art. 12 Abs. 6 DSGVO). Eine Auskunft an den Falschen wäre selbst ein Datenschutzverstoß und kann eine Datenpanne sein. Deshalb gilt für dich: Keine Auskünfte am Telefon an jemanden, der nur behauptet, eine bestimmte Person zu sein. Auch nicht, wenn er freundlich ist und es eilig hat.
Frist
Die Antwort muss unverzüglich kommen, spätestens innerhalb eines Monats nach Eingang. Eine Verlängerung um zwei Monate ist bei schwierigen Fällen möglich, muss aber im ersten Monat mitgeteilt und begründet werden. Die Einzelheiten stehen bei den Rechten der betroffenen Personen.
Sonderfall Videoaufnahmen
Verlangt jemand Auskunft über Videoaufnahmen, muss der Verantwortliche zuerst prüfen, ob es überhaupt noch Aufnahmen gibt. Sind sie nach der festgelegten Speicherdauer schon überschrieben, lautet die Auskunft: Es sind keine Aufnahmen mehr vorhanden. Kommt der Antrag aber, solange sie noch da sind, dürfen sie nicht gezielt gelöscht werden, um der Auskunft zu entgehen. Deshalb ist es so wichtig, dass ein solcher Antrag sofort weitergegeben wird.
Sind auf dem Video andere Personen erkennbar, müssen sie vor der Herausgabe unkenntlich gemacht werden, zum Beispiel durch Verpixeln oder Schwärzen. Wie das im Einzelfall umgesetzt wird, entscheidet der Verantwortliche, nicht die Wachperson am Monitor.
Grenzen
Das BDSG enthält in §34 einige eng begrenzte Ausnahmen vom Auskunftsrecht. Außerdem darf der Verantwortliche bei offenkundig unbegründeten oder exzessiven Anträgen ein Entgelt verlangen oder ablehnen. Das sind Ausnahmen. Im Normalfall hat die Person einen Anspruch auf vollständige Auskunft.
Ein Fall aus dem Dienst
Du arbeitest als Ladendetektiv in einem Kaufhaus. Ein Mann, gegen den vor drei Wochen ein Hausverbot wegen Ladendiebstahls ausgesprochen wurde, schreibt per E-Mail an das Kaufhaus. Er verlangt Auskunft über alles, was über ihn gespeichert ist, und eine Kopie des Videos von damals.
Das Kaufhaus als Verantwortlicher muss antworten, auch wenn ihm der Absender unsympathisch ist. Mitzuteilen sind etwa: sein Eintrag in der Hausverbotsliste mit Name, Datum und Grund, der Vorfallsbericht, die Weitergabe an die Polizei und die geplante Speicherdauer. Das Video wurde für die Strafanzeige gesichert und ist deshalb noch vorhanden. Er bekommt eine Kopie, auf der Kunden und Mitarbeiter im Hintergrund unkenntlich gemacht sind. Deine Rolle: Du lieferst der Rechtsabteilung oder dem Datenschutzbeauftragten zu, welche Unterlagen es gibt. Du antwortest dem Mann nicht selbst und schickst ihm keine Dateien.
Typische Prüfungsfallen
- Der Antrag braucht keine Begründung und keine bestimmte Form.
- Die erste Kopie ist kostenlos.
- Daten anderer Personen werden geschwärzt oder verpixelt, nicht einfach mitgeliefert.
- Sind Aufnahmen regulär gelöscht, gibt es nichts herauszugeben. Gezieltes Löschen nach Eingang des Antrags ist aber unzulässig.
- Keine telefonische Auskunft ohne sichere Identitätsprüfung.
Teste dich: Übungsfragen zu diesem Thema
Wie in der IHK-Prüfung können eine oder zwei Antworten richtig sein. Kreuze an und prüfe dann.
Welche Angaben muss eine Auskunft nach Art. 15 DSGVO enthalten?
Was gilt für die Kopie der Daten nach Art. 15 Abs. 3 DSGVO?
Ein Anrufer gibt sich als Herr Weber aus und möchte wissen, wann er laut Zutrittsprotokoll letzte Woche im Gebäude war. Was tust du?
Ein Gast verlangt eine Kopie des Videos, auf dem er bei einer Auseinandersetzung zu sehen ist. Auf dem Video sind auch andere Gäste erkennbar. Was gilt?
Ein Auskunftsantrag zu Videoaufnahmen geht ein. Die Aufnahmen sind nach der festgelegten Speicherdauer bereits überschrieben. Was ist richtig?
Wann muss die betroffene Person die Auskunft spätestens erhalten, wenn keine Verlängerung nötig ist?
Mehr Fragen aus diesem Sachgebiet gibt es in der Prüfungssimulation und gesammelt auf der Seite Prüfungsfragen Datenschutzrecht.
Art. 15 DSGVO im Wortlaut (gesetze-im-internet.de) · Diese Seite ersetzt keine Rechtsberatung. Maßgeblich ist der aktuelle Gesetzestext.